O que é PHP2Shell?
PHP2Shell reúne CVE-2026-109618 e CVE-2026-109619, falhas de memória do próprio PHP com CVSS v4.0 9,2. Houve demonstrações de execução de código sem autenticação e vazamento de memória. As correções foram publicadas em 21 de outubro de 2026; não se trata apenas de um CMS.
Quais instalações verificar?
Atualize todas as instalações Web: FPM, mod_php, php-cgi, FrankenPHP e LiteSpeed. WordPress, Drupal, Joomla, MediaWiki, Laravel e aplicações próprias herdam o risco. Inclua painéis, equipamentos, homologação e contêineres. Atualizar a aplicação não substitui o PHP.
FPM está isento?
Não. FPM encerra o filho quando a inicialização da requisição falha, bloqueando algumas sequências iniciais. Caminhos de aplicação e entre requisições permanecem. A demonstração mod_php não prova exploração idêntica em todo ambiente; usar FPM também não dispensa o patch.
Backports de distribuições
Ubuntu, Debian e Linux empresarial podem preservar o número original com revisão corrigida. Um banner 8.3.6 não prova vulnerabilidade nem reparo. Verifique sistema, repositório, arquitetura e revisão para AMBAS as CVEs. Não inventamos limites de versões de pacotes.
PHP 8.1 e anteriores
Sem lançamentos regulares do projeto PHP. Backports mínimos de fontes existem excepcionalmente para 7.4, 8.0 e 8.1; compilar e validar cabe ao operador. Fornecedores OS ou LTS podem manter pacotes. A pesquisa alcança 5.4 com condições diferentes. Migre e verifique patches provisórios.
Medidas temporárias incompletas
Só o patch completo cobre todas as variantes. Ajustes podem afetar uploads, desempenho e disponibilidade. Aplique administrativamente antes do processamento e reinicie todos os workers. Leia ambos os avisos. CDN e WAF não provam que PHP foi corrigido.
Patch não descarta invasão
A comparação não detecta exploração anterior. Preserve logs e imagens, investigue falhas, arquivos, processos e conexões de saída. Ausência de erros não prova segurança. Em suspeita de comprometimento, isole e troque segredos expostos de um ambiente confiável após conter o incidente.
Método de avaliação
A comparação manual usa versões estáveis completas em quatro ramos publicados. Pacotes de fornecedores exigem evidências para os dois CVEs; versões desconhecidas continuam desconhecidas. A verificação pública coleta versões anunciadas e indícios, nunca prova de exploração. Cabeçalhos ocultos, CDN ou uma réplica atualizada não comprovam segurança em todos os runtimes. As datas indicam revisão editorial.
Scanner grátis comprova invasão?
Não conclusivamente. Cabeçalhos e padrões dão pistas sem ver runtime completo, histórico ausente e vazamentos de memória. Inventarie, preserve e correlacione. Com contas, processos ou vazamentos inexplicados, isole e contate hospedagem ou equipe de resposta.
Tentativa ou invasão bem-sucedida? →